著者ヴオン・ドアン・ミン、OPSWAT Software エンジニア
はじめに
特権の昇格とは、悪意のある行為者にアプリケーションやオペレーティング・システム内の保護されたリソースへのアクセス権を昇格させるエクスプロイトの一種です。
エクスプロイト
CVE-2019-1405 は、任意のローカルユーザーをローカルサービスユーザーに昇格させるために使用可能です。
CVE-2019-1322 は、ローカルのサービスユーザーをローカルのシステムユーザーに昇格させるために使用できます。
したがって、この2つのCVEを1つのエクスプロイトに統合することで、任意のローカルユーザーからシステムユーザーへの特権昇格が可能になる。
これらの脆弱性は、最新のパッチまたは2019年11月12日のセキュリティ更新パッチに更新されていないMicrosoft Windows 10 1803以上を実行しているコンピュータに影響を与える[1][2]。
潜在的効果
組織内のあらゆるマシンにアクセスする方法はいくらでもあるからだ。例えば、ドメインコントローラーを使用している組織では、どのユーザーも、そのマシンに物理的にアクセスできれば、ドメイン内のどのマシンにもログインできる。彼がアクセスできるのは、そのマシン上の自分のユーザー・アカウントに限定されたデータだけである。しかし、これらの脆弱性を利用することで、彼は昇格プロセスを作成することができる：
- 機密リソースにアクセスするための新しいユーザーアカウントをAdministrationグループに追加する。
- 被害者のマシンにバックドアや悪意のあるプログラムをインストールし、後で悪用する。
- データの閲覧、変更、削除
OPSWAT どのように脆弱性の検知を支援するか
MetaDefender Accessは、脆弱性を持つデバイスを検出し、修復の指示を提供することができます。
インストール後 MetaDefender Endpointをインストールすると、エンドポイント上の脆弱性を検出し、MetaDefender Accessに報告します。MetaDefender Accessはデータを分析し、脆弱性が検出された場合、検出された脆弱性を修復するための有用な指示とともにエンドユーザに通知します。管理者は、MetaDefender Accessのウェブコンソールを介して、すべての脆弱なデバイスを管理することもできます。
MetaDefender Coreは、file-based vulnerability assessment 技術により、エンドポイント上のバイナリファイルの脆弱性を検出することができます。MetaDefender Core 、他のサービスと統合してファイルをスキャンするために使用できるAPIを提供します。例えば、組織のネットワークに出入りするファイルをスキャンします。
- もし脆弱なファイルがシステム・ファイルの中にあれば、システムをアップデートすべきサインだ。
- 脆弱なファイルがソフトウェア・プログラムのファイルである場合は、ソフトウェアをアップデートするか、一時的にソフトウェアをアンインストールする必要がある。
- インストーラーに脆弱性がある場合は、組織内のどのマシンにもインストールすべきではない。
- プロジェクト内のライブラリ・ファイルに脆弱性がある場合、そのライブラリの最新パッチ・バージョンを見つけるか、脆弱性を修正するパッチがない場合は使用を中止する必要がある。
どう攻略するか？
この脆弱性に対するエクスプロイトコードは、Rapid7 [3]のMetasploitフレームワークのモジュールとして、https://www.exploit-db.com/exploits/47684。
エクスプロイトのデモ：
- 攻撃者マシンKali Linux。
- 被害者のマシンWindows 10 1803 x64
- このデモでは、攻撃者がすでに被害者のマシンにアクセスしていることを想定している。
修復
Windowsを常に最新の状態に保つこと、特にセキュリティ関連の更新プログラム（KB）を適用すること、少なくとも2019年11月までのセキュリティパッチを適用することを強くお勧めします。
参考文献
[1] "CVE-2019-1405 | Windows UPnP Service Elevation of Privilege Vulnerability".https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1405。
[2]「CVE-2019-1322｜Microsoft Windows における特権昇格の脆弱性」。利用可能: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1322.
[3] "Rapid7のMetasploit"。利用可能: https://www.metasploit.com/
